Scorecard 开源供应链风险评估

要解决什么问题

把某个 GitHub 仓库拉进依赖树、批准内部使用，或从该仓库发版之前，你往往只有 README 和 star 数作参考，很难系统化判断：维护是否活跃、CI 是否可靠、是否启用依赖更新与漏洞扫描、分支保护是否到位。供应链事件里，很多风险来自「看起来正常」的第三方仓库，而不是单一 CVE 编号。

技能如何工作

本技能引导你在采用或发布决策之前，对目标仓库运行 OpenSSF Scorecard（ghcr.io/ossf/scorecard），用一组公开的安全与工程实践启发式规则生成可比较的评分与明细。

典型流程包括：

• 确认本机或 CI 能访问目标仓库所在平台（多为 GitHub），必要时配置 GITHUB_AUTH_TOKEN 以提高 API 限额
• 通过 Scorecard CLI 或 GitHub Action 对指定 --repo 执行扫描，并查看 --show-details 级别的结果
• 对照 Scorecard 各检查项（维护、CI、依赖、漏洞披露等维度）解读分数，再决定是否引入、是否允许发布链路依赖该仓库

技能内容对齐上游 OpenSSF Scorecard 文档，便于与社区既有检查项名称和语义保持一致。

适用边界与注意点

Scorecard 输出的是信号聚合与启发式评分，不能替代威胁建模、代码审计或组织内的合规审批；低分不一定等于恶意，高分也不保证无风险。扫描依赖网络可达性与 GitHub API 配额，私有仓库或限流场景需提前规划认证与重试策略。不同 Scorecard 版本（如 latest 与固定 tag）的检查集可能略有差异，对比多个仓库时建议固定工具版本。